WordPress のセキュリティで最低限やること

「WordPress は危険」とよく言われますが、これは正確ではありません。セキュリティ企業 Patchstack の「State of WordPress Security in 2025」によれば、2025 年に WordPress エコシステムで報告された新規脆弱性 11,334 件のうち、コア本体はわずか 6 件でした。

残りの内訳は、91% がプラグイン、9% がテーマです。つまり危険なのは WordPress 本体ではなく、後から追加した部品です。同レポートでは新規脆弱性が前年比 42% 増とされており、追加する部品が増えるほどリスクも積み上がる構図が見えます。

これは対策にとって良い知らせでもあります。守るべき対象が「自分で選んで入れた部品」に絞られるなら、対策の方向もはっきりするからです。この記事では、中小企業が専門ツールなしで着手できる 4 つの基礎を順に解説します。

最初にやるべきは、いま入っているプラグインの棚卸しです。リスクの 91% がプラグイン起因である以上、ここを整理することが最も効きます。判断基準は「いま実際に使っているか」「更新が継続されているか」「出所が信頼できるか」の 3 つです。

使っていないプラグインは、有効・無効を問わず削除します。無効化しただけのプラグインもファイルはサーバーに残り、脆弱性があれば攻撃の入口になり得るからです。攻撃される面積は、インストールされている部品の数で決まります。

新しくプラグインを入れるときは、最終更新日とサポート状況を確認します。長く更新が止まっているプラグインは、脆弱性が見つかっても修正されない可能性が高いものです。「便利そうだから」で増やさず、必要な機能に絞り込む姿勢が安全につながります。

更新は、見つかった脆弱性をふさぐための最も基本的な手段です。自動スキャン型の攻撃が狙うのは、まさに「更新されないまま放置されたサイト」です。脆弱性の情報は公開されるため、更新しないことは「攻撃方法が公開された穴を開けたままにする」のと同じ意味になります。

「更新するとサイトが壊れそうで怖い」という声はよく聞きます。しかし更新を止めることは、より大きなリスクを選ぶことです。正しい対処は更新しないことではなく、安全に更新できる手順を整えることにあります。

現実的な手順は、更新前にバックアップを取る、可能ならステージング環境（本番と同じ構成の試験環境）で先に試す、問題なければ本番に適用する、という流れです。コア・プラグイン・テーマのうち、自動更新にできるものは有効にしておくと、放置のリスクを下げられます。

OWASP（オープンな WEB セキュリティ団体）の「OWASP Top 10:2025」で 1 位は、アクセス制御の不備です。WordPress でいえば、管理画面（ログイン画面）と、誰がどの権限を持つかの設計がこれに当たります。

具体的には、管理者アカウントに推測されやすい名前を使わない、パスワードを強固にする、ログインに二要素認証を加える、ユーザーごとの権限を「必要な分だけ」に絞る、といった対策です。投稿だけする人に管理者権限を与えない、退職した担当者のアカウントを残さない、といった運用面の見直しも含まれます。

これらは新しいツールを買う話ではなく、「誰が何をできるか」の境界を引き直す作業です。アクセス制御は WordPress に限らず WEB セキュリティの土台であり、その全体像はWEB セキュリティ 5 原則で詳しく扱っています。

OWASP Top 10:2025 で 2 位は設定ミスです。WordPress では、サーバーや WordPress 自体の設定の不備がここに当たります。コードの問題ではなく「設定を直すだけで塞げる穴」なので、優先的に取り組む価値があります。

具体的には、サイト全体を HTTPS で常時化する、デバッグ表示を本番で無効にする、エラー画面に内部情報を出さない、不要なファイル一覧の公開を止める、といった項目です。WordPress のバージョンを外部から読み取られないようにするのも、攻撃者に手がかりを与えない基本対策の一つです。

あわせて整えたいのが、ブラウザに安全な扱いを指示するセキュリティヘッダーです。HSTS や CSP（Content Security Policy）などを設定しておきます。なお、クリックジャッキング対策の X-Frame-Options は CSP の frame-ancestors ディレクティブにより obsolete 扱いとなったため、新規実装では frame-ancestors を優先します。設定が正しいかは securityheaders.com などの評価ツールで確認できます。

「セキュリティプラグインを入れたから安心」という考え方には注意が必要です。セキュリティプラグインは補助としては有用ですが、それだけで対策が完了するわけではありません。

理由は、ここまで挙げた 4 つの基礎 — プラグインの整理、更新、アクセス制御、サーバー設定 — のほとんどが、プラグイン任せにできない運用と設計の問題だからです。OWASP Top 10:2025 の上位であるアクセス制御の不備と設定ミスは、まさにこの領域に属します。さらにセキュリティプラグイン自体も「追加した部品」であり、それが脆弱性を持つ可能性もゼロではありません。

正しい順序は、まず 4 つの基礎を固め、そのうえでセキュリティプラグインを上乗せすることです。日本では IPA「安全なウェブサイトの作り方」第 7 版（2026 年現在も現行版）が、こうした基礎的な脆弱性対策を体系的に解説しています。